Esquema: contêineres Linux descritos em Guile
Um runtime de contêineres sem daemon, com API Guile e camada C para isolamento Linux.
Acessar projetoConteúdo
Esquema é o runtime de contêineres que desenvolvo para descrever cargas de trabalho como valores Scheme. A API em Guile chama uma biblioteca C que prepara namespaces, isolamento de arquivos, redução de capacidades e filtros seccomp antes de executar o processo. O projeto dispensa um daemon e inclui integração com GNU Guix e Shepherd.
Imagem: captura datada da página do Esquema na Security Ops Wiki.
O funcionamento depende de recursos e permissões do kernel Linux. O modo estrito requer ainda Landlock, controladores cgroups v2 delegados e APIs modernas de montagem. BSD, macOS e Windows precisam de uma máquina virtual Linux; não há suporte nativo para esses kernels. O guia explica como preparar uma raiz mínima e testar o isolamento com dados descartáveis.